◎賴文智律師
生成式人工智慧問世之後，金融機構很快就看到它在文件整理、客服、法令遵循、程式開發與內部知識管理上的潛力。然而，金融業處理的資料高度敏感，業務結果又直接影響客戶的財產與交易權益，因此不能只從效率評估AI。當AI開始參與授信、理財建議、詐欺偵測或客戶服務，問題就從「這項工具好不好用」轉變為「誰決定可以使用、如何證明判斷可靠，以及發生錯誤時由誰負責」。
AI代理人的快速發展，讓問題又向前推進一步。過去討論金融AI治理，多半假設AI是金融機構自行建置或採購的系統。現在，客戶也可能把帳號密碼或操作權限交給第三方AI代理人，要求代理人查詢帳戶、購買商品，甚至移轉資金。金融機構因而必須面對一種新的參與者：AI Agent不屬於銀行，也不一定是銀行核准的服務，卻可能透過客戶的身分進入金融系統並採取行動。
AI治理的目的並非排除所有風險。對金融機構而言，真正可行的方向，是辨識不同應用的風險，將有限的管理資源放在可能造成重大影響的環節，並讓每一項重要決策都能追溯到具體的負責人。
從法律原則走向金融監理
我國《人工智慧基本法》以七項原則建立AI治理基礎，包括永續發展與福祉、人類自主、隱私保護與資料治理、資安與安全、透明與可解釋、公平與不歧視，以及問責。這些原則並非僅供政策宣示。企業導入AI時，必須逐步將它們轉化為資料管理、系統驗證、內部控制及責任分工。
基本法也要求避免AI遭到違法運用，高風險應用應有適當標示，使用資料時應維護智慧財產權。對高風險AI，制度必須明確界定責任歸屬並提供救濟。主管機關也將依風險分類框架調整各領域規範。因此，金融業既有的AI治理要求，未來仍會隨基本法的框架持續調整。
數位發展部提出的風險分類框架，將AI風險分為三大類。第一類來自技術設計，例如安全漏洞、缺乏透明度、個資侵害、智慧財產權爭議、偏見及錯誤資訊。第二類發生在系統部署與人機互動，例如使用者過度依賴AI、AI Agent超越授權範圍行動，以及AI遭利用生成違法內容。第三類涉及更廣泛的社會影響，包括競爭秩序、利益分配、就業品質、人類創作價值及資訊主權。
AI Agent的問題正好說明，風險分類不能只檢查模型會不會產生錯誤內容。當AI從提供資訊進展到代替使用者採取行動，授權範圍、身分驗證、交易確認及事後追蹤都會成為治理的一部分。
金融業的許多AI應用直接面對客戶，並可能影響授信、投資或支付結果，因此通常需要以較高的風險標準評估。金融機構不能只看工具本身，也要分析工具放進特定業務後能接觸哪些資料、取得何種權限，以及錯誤行動能否撤回。
六項核心原則的實際意義
金管會發布的「金融業運用人工智慧指引」提出六項核心原則。第一是建立治理與問責機制，由高階主管負責監督，並將AI納入既有風險管理及內部控制。這項要求提醒金融機構，AI不能被視為資訊部門自行處理的技術專案。業務、風控、法遵、資安與稽核部門都應參與，董事會或高階管理階層也必須掌握重要應用的風險。
第二是公平性及以人為本。AI模型可能反映訓練資料中的既有偏見。如果金融機構直接採用模型結果，歷史上的差別待遇可能被包裝成看似客觀的分數。因此，機構必須測試不同客群是否受到不合理的不利影響，並保留人員介入、修正或安全關閉系統的能力。
第三是保護隱私與客戶權益。金融資料具有高度敏感性，蒐集及使用應符合必要範圍。機構還要評估客戶是否有選擇空間，以及在不使用AI時能否取得替代服務。當AI參與決策，客戶也應有提出疑義或請求人工處理的管道。
第四是系統穩健性與安全性。AI系統可能遭到資料污染、提示詞攻擊或權限濫用。若採用外部服務，風險不會因為系統由第三方提供就轉移出去。金融機構仍須審查供應商的安全措施、資料處理方式及事故通報機制。
AI Agent又帶來另一種第三方風險。代理人可能由客戶自行選擇，金融機構與其開發者之間沒有契約關係，也未曾審查其安全能力。這種情況下，金融機構甚至無法沿用傳統委外管理制度，只能從帳戶存取、身分驗證與交易控制等環節重新設計防線。
第五是透明與可解釋。金融機構以AI直接和客戶互動時，應適當揭露。對內則應保留系統邏輯、資料來源與評估結果。可解釋性不代表每一個模型參數都能轉換成人類語言，而是機構必須能說明採用AI的理由、主要影響因素及控制錯誤的方法，其實就是AI治理的導入。
第六是促進永續發展。除了考慮能源消耗及避免重複建置，金融機構也應投入員工教育。AI治理最終仍要由人執行。若使用者不理解工具的限制，再完整的制度也可能停留在紙面。
生命週期管理不能只做上線審查
AI風險會出現在系統規劃、資料蒐集、模型建立、部署及後續監控等不同階段。治理若只在採購或上線時審查一次，便難以處理模型更新、資料分布改變及業務用途擴張所造成的新風險。
金融機構在規劃階段應先界定用途。這個系統是否直接面對客戶？是否大量使用個資？是否自行作成決策？錯誤會影響多少人？客戶能否取得人工救濟？問題的答案將決定審查層級及控制強度。
在資料階段，機構應確認資料來源、品質及使用權限。模型建立後，則要測試準確性、偏誤、穩定性與例外情境。系統部署之後，仍須持續觀察輸出品質，並建立異常通報、版本管理及停止使用的程序。
銀行公會的相關作業規範，進一步把原則轉化為可受檢查的要求。與消費者直接互動並提供金融商品建議、提供客戶服務且影響交易權益，或對機構營運產生重大影響的AI應用，都是需要重點管理的範圍。機構應依風險分級管理，書面留存評估結果與理由。必要時，還應由具備AI專業的獨立第三人提出評估報告。
這套架構的重點，不在於把每一項AI應用都視為高風險，而是要求金融機構說明分類依據。即使某項工具最後被列為低風險，仍應留下判斷過程，以供未來檢討及查核。
未經審查的AI Agent正在進入銀行帳戶
根據Axios於2026年10月22日的報導，美國多家大型銀行正處理第三方AI Agent進入客戶帳戶所造成的風險。部分情況是客戶自行把登入資訊交給AI助理，授權其代為查詢或操作。然而，即使客戶同意，這類登入方式仍可能違反銀行要求本人使用帳戶的規則。
報導指出，銀行面臨的困難包括無法可靠辨識登入者究竟是人、經客戶授權的代理人，還是已經脫離使用者指示的代理人。部分AI Agent也可能聯絡客服中心，或執行難以確認是否出自客戶指示的行動。由於相關資訊主要來自匿名消息人士，而Morgan Stanley表示尚未觀察到「失控AI Agent」進入其平台的情形，因此個別事件的規模仍須謹慎看待。不過，多家銀行已限制第三方代理人存取，顯示產業已把它視為需要立即處理的安全問題。
這項案例揭示了兩種授權之間的落差。客戶可能認為，既然帳戶屬於自己，就能授權AI Agent登入。但從銀行的角度來看，客戶同意不代表代理人已通過銀行的身分驗證、安全審查及服務授權。當AI Agent可以轉移資金或購買商品時，一次過度寬泛的授權可能衍生許多後續行動，而客戶未必理解每一項行動的範圍及後果。
金融機構因此需要把「誰有權使用帳戶」進一步拆解為「誰可以讀取哪些資料、可以執行哪些行動、金額上限是多少、授權持續多久，以及客戶如何撤回」。傳統帳號密碼讓登入者取得整體帳戶權限，不適合直接延伸到自主性較高的AI Agent。
較可行的方向，是建立細緻且可撤回的權限。查詢餘額及整理支出可以列為唯讀權限，移轉資金、變更個人資料或新增收款人則應要求更高強度的驗證。重大交易還可以要求客戶再次確認，避免代理人僅依一次概括指令持續行動。
Axios的報導也提到，部分銀行傾向先允許唯讀存取，再逐步尋找開放與安全之間的平衡。這符合風險分級的治理思維。金融機構無須在全面封鎖與完全開放之間二選一，而可按照資料敏感度、行動可逆性及財務影響配置權限。
銀行還必須準備代理人出錯後的處理方案，包括迅速中止存取、保全操作紀錄、恢復客戶帳戶及處理爭議交易。AI治理因此不能只處理事前核准，也要納入事故發生後的復原能力。
治理必須從AI的限制開始
生成式AI擅長根據上下文產生合理回應，但合理並不等於正確，回應也不是回答。它可能捏造不存在的法規、資料或事件，這就是常見的「幻覺」。在金融業，語句看似專業的錯誤資訊尤其危險，因為使用者容易降低警覺。
AI也具有非確定性。同一個問題在不同時間輸入，可能得到不同結果。若機構沒有保存提示詞、模型版本與輸出紀錄，日後便很難還原當時的決策過程。
大型語言模型主要從資料關聯中產生內容，不一定依照因果關係或明確規則推論。這種黑箱特性會影響透明性與可解釋性。模型的知識也有截止時點，無法自然掌握最新法令及市場狀況。訓練資料中的偏見還可能被模型延續或放大。
AI Agent將這些限制轉化成行動風險。一般聊天機器人回答錯誤時，使用者還有機會不採用答案。代理人若已取得操作權限，錯誤判斷可能直接變成交易、資料變更或對外聯繫。治理要求因此不能停留在檢查輸出內容，還必須限制AI能夠執行的行動。
影子AI讓內外部風險交會
許多AI風險並非來自機構正式採購的系統，而是員工自行使用的公用工具。員工可能以個人帳號上傳公務文件、安裝未經核准的AI外掛，或在不知情下使用既有軟體中預設開啟的AI功能。這些「影子AI」繞過正常的採購、法遵及資安審查，使資料流向與處理紀錄脫離組織掌握。
第三方AI代理人可以視為發生在客戶端的相似現象。金融機構沒有採購或核准這些代理人，但代理人仍可能透過客戶憑證接觸銀行服務。影子AI讓內部資料離開治理框架，未經核准的代理人則讓外部程式進入金融系統。兩者共同的問題，是實際使用行為走在制度及技術控管之前。
全面禁止通常無法消除需求。對內，金融機構應提供經核准的替代工具，明確列出允許及禁止的用途，並以權限、網路及資料防護措施搭配申報機制。對外，則可考慮建立正式的代理人連接機制，讓經驗證的服務透過受限制的介面存取，而不是要求客戶交出完整帳號密碼。
人類最終負責如何落實
「人類最終負責」不能只是一句抽象原則。機構應依風險決定由誰在什麼環節把關。直接對外發布或影響客戶權益的高風險內容，原則上應逐件由具備相應專業的人員覆核及核准。用於內部正式文件或決策參考的中風險內容，可以採取抽查、交叉驗證及標示AI使用等措施。個人草稿或構想發想等低風險用途，則可由使用者自行查核。
當AI Agent代表客戶採取行動時，「人類最終負責」還要回答更具體的問題：哪一類交易必須由客戶重新確認？銀行在何種異常情況下應暫停代理人權限？代理人偏離指示時，客戶、銀行與開發者如何分配責任？若制度只要求客戶概括同意使用AI，卻沒有讓客戶了解授權範圍，就很難說已經真正保障人類自主。
人工覆核也不能流於形式。若覆核者沒有足夠時間、資料或專業能力，僅在系統結果上按下確認，責任仍然只是名義上由人承擔。有效覆核必須讓人員有權質疑、修改或拒絕AI的建議，並在AI執行高風險行動前形成真正的控制點。
金融機構導入AI的合理目標，不是追求零風險，也不是要求所有業務全面使用。更務實的做法，是依用途與資料敏感度選擇企業版服務或封閉式部署，先從內部草稿、資料整理及文件比對等相對低風險領域開始，再評估是否擴大使用。
對AI Agent而言，同樣可以從唯讀、低金額及可逆的行動開始，待身分驗證、監控及責任機制成熟後再逐步開放。金融機構還應以壓力測試檢查代理人誤解指令、超越權限或遭到操控時，系統能否即時攔截。
AI可以用來降低原本就存在的人工作業風險，例如協助比對文件版本、找出異常資料或提醒可能遺漏的項目。AI代理人也可能讓客戶更容易管理財務及取得服務。關鍵不在於一律禁止，而是讓每一項能力都對應明確、有限且可撤回的權限。選對工具、放在適當位置、限制可執行的行動，並讓責任始終可追溯，才是金融機構AI治理真正要達成的目的。
